Analítica web sin cookies: qué permite la ley y qué dejas de medir
La analítica sin cookies no siempre libra del consentimiento: la norma alcanza a cualquier técnica que guarde o lea datos en el dispositivo. Qué dicen la LSSI y la AEPD, cuándo puede quedar exenta la medición de audiencia, tres formas de medir y qué se pierde.
La analítica web sin cookies promete medir las visitas sin molestar con un banner. Es verdad a medias: la ley española no habla solo de cookies, sino de cualquier forma de guardar o leer información en el dispositivo de quien visita la web, y la protección de datos sigue aplicándose si se tratan datos personales. Esta guía explica qué permite la norma, qué opciones de medición hay y qué dejas de saber con cada una.
Qué dice la ley: no es solo cuestión de cookies
El artículo 22.2 de la LSSI permite usar dispositivos de almacenamiento y recuperación de datos en los equipos de los usuarios a condición de que hayan dado su consentimiento después de recibir información clara y completa sobre su utilización.
La guía sobre el uso de las cookies de la AEPD, actualizada en mayo de 2024, aclara que ese artículo se refiere a las cookies y a tecnologías similares, como los web beacons, y que también se aplica a las técnicas de fingerprinting, es decir, a la toma de la huella digital del dispositivo.
La excepción es lo estrictamente técnico: la ley no impide el almacenamiento o acceso de índole técnica al solo fin de transmitir una comunicación o, en la medida en que sea estrictamente necesario, para prestar un servicio que el usuario ha pedido expresamente. Por eso una cookie que mantiene abierta la sesión no necesita el mismo tratamiento que una que mide.
¿La analítica necesita consentimiento? Depende de cómo se haga
La guía general de la AEPD recoge la posición del GT29 (Grupo de Trabajo del Artículo 29, hoy sustituido por el Comité Europeo de Protección de Datos): las cookies de análisis no están exentas del deber de obtener un consentimiento informado, aunque es poco probable que representen un riesgo para la privacidad si son de primera parte, tratan datos agregados con una finalidad estrictamente estadística, se informa de sus usos y el usuario puede negarse.
La AEPD matizó esa regla con una guía específica sobre herramientas de medición de audiencia, fechada en enero de 2024: las cookies usadas para obtener estadísticas de tráfico o de rendimiento podrían estar exentas de consentimiento bajo ciertas condiciones. Las principales:
- Solo para medir la audiencia del propio sitio, en nombre exclusivo de quien lo edita y para producir únicamente datos estadísticos anónimos.
- Sin cruzar los datos con otros tratamientos ni transmitirlos a terceros, y sin seguir a la persona cuando navega por otros sitios o aplicaciones.
- Solo mediciones concretas y agregadas, como la audiencia de cada página, la página de procedencia, el tipo de dispositivo, los tiempos de carga, el tiempo en página, los clics o la zona geográfica. Cualquier otro tratamiento necesita consentimiento.
- Con garantías: informar de ellas (por ejemplo, en la política de privacidad), limitar su vida útil (la guía pone como ejemplo trece meses, sin prorrogarla en cada visita) y conservar la información un máximo de veinticinco meses.
La propia guía advierte que algunos servicios de analítica no entran en la exención, en particular cuando declaran que reutilizan los datos para otras finalidades.
Lo que no cambia: sustituir las cookies por otra técnica que guarde o lea algo en el navegador no saca la herramienta de la norma; lo que puede eximirla es su finalidad y sus garantías, no la técnica. Y cuando haga falta consentimiento, el aviso tiene que permitir rechazar con la misma facilidad que aceptar: según la AEPD, si se utiliza un botón para aceptar, deberá utilizarse un botón para rechazar.
Tres formas de medir y lo que implica cada una
| Forma de medir | Cómo funciona | Qué implica | Qué ves |
|---|---|---|---|
| Analítica con cookies, propias o de terceros | Guarda un identificador en el navegador | Consentimiento, salvo que cumpla las condiciones de exención de la AEPD para medir audiencia | Recorridos y visitantes que vuelven, pero solo de quien acepta |
| Recuento en el servidor, sin guardar nada en el dispositivo | El servidor cuenta las páginas que sirve | No se basa en guardar información en el equipo del usuario; si trata datos personales, como la IP, sigue aplicándose la protección de datos | Páginas vistas y fuentes de tráfico, sin saber quién vuelve |
| Huella digital del dispositivo | Identifica el equipo por sus características | La AEPD la incluye en el mismo ámbito que las cookies | Lo mismo que con cookies, con el mismo régimen |
Ojo con la segunda opción: medir sin guardar nada en el dispositivo no significa que no haya datos personales de por medio. El RGPD recuerda que las personas pueden ser asociadas a identificadores en línea facilitados por sus dispositivos, como las direcciones IP o las cookies. Guardar las direcciones IP completas cuando no hacen falta es una forma de complicarse la vida sin necesidad.
Cada caso depende de cómo esté construida la herramienta: antes de quitar el aviso de cookies, conviene revisarlo con quien lleve la protección de datos de tu empresa.
Qué dejas de medir y qué sigues sabiendo
Midiendo sin identificadores en el navegador, lo que se pierde sobre todo es la memoria entre visitas:
- Saber con precisión si un visitante vuelve.
- Seguir un recorrido que empieza hoy en el móvil y termina mañana en el ordenador.
- Crear audiencias para volver a impactar con anuncios a quien ya visitó la web.
Lo que se sigue sabiendo es, para muchas pymes, lo que de verdad importa: qué páginas se ven, de qué fuentes llegan las visitas, qué campañas funcionan si sus enlaces llevan parámetros de campaña y, sobre todo, cuántos contactos llegan por los formularios y de dónde vienen. Ese último dato no vive en la analítica, sino en el CRM, y es el que se convierte en ventas.
Y un efecto secundario: cada herramienta de terceros que se carga en la página añade peso y puede hacer más lenta la web, sobre todo en el móvil.
Cómo medimos en las webs que hacemos
En las webs que hacemos, la analítica es propia y sin cookies de terceros, y respeta el rechazo: si la persona no quiere, no carga nada. En nuestra propia web, además, medimos con Google Analytics solo si la persona lo acepta; el aviso lo dice así: cookies propias para que la web funcione y, solo si lo aceptas, Google Analytics para medir el uso de la web.
Y la conversión se mide donde ocurre: cada formulario de la web crea el contacto en el CRM con su origen. Puedes ver cómo trabajamos la web, el SEO y la medición en marketing, web y SEO, y qué revisa una auditoría SEO.
Fuentes consultadas
Comprobadas el 30 de septiembre de 2026. Enlazamos la fuente original para que puedas consultar el texto vigente.
- Ley 34/2002 (LSSI), texto consolidado: artículo 22. BOE.
- Guía sobre el uso de las cookies (actualizada en mayo de 2024). Agencia Española de Protección de Datos.
- Reglamento (UE) 2016/679 (RGPD): considerando 30. DOUE (vía BOE).
- Uso de cookies para herramientas de medición de audiencia (v. enero de 2024). Agencia Española de Protección de Datos.
Preguntas frecuentes
¿La analítica sin cookies necesita aviso de consentimiento?
Depende de cómo funcione. Si guarda o lee información en el dispositivo del usuario, o usa su huella digital, se aplica la LSSI igual que con las cookies: consentimiento, salvo que encaje en la exención de medición de audiencia de la AEPD. Si solo cuenta en el servidor las páginas que sirve, el análisis es distinto, aunque la protección de datos puede seguir aplicándose.
¿Las cookies de análisis necesitan consentimiento?
Por regla general, sí. La AEPD admite que las de medición de audiencia podrían quedar exentas si cumplen condiciones estrictas: solo para quien edita la web, estadísticas anónimas, sin ceder datos a terceros ni seguir a la persona entre sitios, con información y plazos limitados.
¿La dirección IP es un dato personal?
Puede serlo: el texto del RGPD menciona las direcciones IP entre los identificadores en línea que pueden asociarse a una persona. Por eso conviene no guardarlas completas si no hacen falta.
¿Qué pierdo si mido la web sin cookies?
Sobre todo saber si un visitante vuelve y seguir su recorrido entre visitas o dispositivos. Las páginas vistas, las fuentes de tráfico y los contactos que llegan por los formularios se siguen pudiendo medir.
¿Algo de esto encaja con tu negocio? Cuéntanos cómo lo haces hoy.